Paweł Goleń, blog - Formularz komentarzy "Zamykam jedno oko i..."

Paweł Goleń: Zamykam jedno oko i...

nospam@example.com (Paweł Goleń) — Wed, 02 May 2012 16:21:08 +0200

Podmiot za to odpowiedzialny, zgodny z obowiązującym prawem.

Kamil: Zamykam jedno oko i...

nospam@example.com (Kamil) — Wed, 02 May 2012 15:30:28 +0200

NO dobra, ale powiedz zatem, kto ma ponieść konsekwencje za to, że moje dane latają po internecie bo ktoś nie dba o bezpieczeństwo swojego portalu/sklepu/forum/witryny?

Paweł Goleń: Zamykam jedno oko i...

nospam@example.com (Paweł Goleń) — Tue, 17 Apr 2012 20:36:13 +0200

Ale zdajesz sobie sprawę, że Ty też możesz ponieść konsekwencje w związku z przeprowadzeniem takiego NIEZAMÓWIONEGO audytu zewnętrznego? :)

Kamil: Zamykam jedno oko i...

nospam@example.com (Kamil) — Tue, 17 Apr 2012 16:45:06 +0200

No nie do końca. O tyle o ile jeśli to prosta strona z np grami, czy cokolwiek w ten deseń to pal licho, ale jeśli to sklep gdzie chcemy dokonać zakupu to chyba jednak sprawa jest poważniejsza. Ja osobiscie testuje wszystkie witryny z których korzystanie umożliwione jest dopiero po podaniu moich personaliów, numeru PESEL, etc - w skrócie - danych osobowych. Poza tym, jest chyba coś takiego jak ustawa o ochronie danych osobowych. Co jeśli własciciel seriwsu nie dopilnuje kwestii ich bezpieczeństwa? Nie może ponieść za to konsekwencji w przypadku audytu zewnętrznego :) ?

Paweł Goleń: Zamykam jedno oko i...

nospam@example.com (Paweł Goleń) — Mon, 02 Apr 2012 20:09:53 +0200

Dobrze, że ja wiem, jak rozpoznać spam komentarzowy. Czy informacja, że będzie cięty bez litości jest za małą czcionką podana, czy może problem z rozumieniem języka polskiego się objawił? P.S. Adres URL i maila złośliwie usunąłem.

hihaczz: Zamykam jedno oko i...

nospam@example.com (hihaczz) — Mon, 02 Apr 2012 20:03:17 +0200

Dobrze, że tak nie każdy internauta wie jak to zmienić, bo najprawdopodobniej nie istniałaby wtedy sprzedaż internetowa ;-)

Paweł Goleń: Zamykam jedno oko i...

nospam@example.com (Paweł Goleń) — Fri, 30 Mar 2012 12:25:52 +0200

To idźmy jeszcze dalej - zacznę korzystać z jakiegoś serwisu dopiero po tym, jak go przetestuję. Trochę paranoiczne podejście, no nie?

Marcin Rybak: Zamykam jedno oko i...

nospam@example.com (Marcin Rybak) — Thu, 29 Mar 2012 22:22:16 +0200

no dobrze, idźmy więć dalej... patrzysz w historię przelewów, klikasz szczegóły, zmieniasz histID i... następnego dnia zmieniasz bank? :) miałem tego typu przygodę z systemem rekrutacji jednej z uczelni, gdzie, po podaniu wszystkich swoich danych personalnych od PESELu poprzez numeru dowodu aż do oceny z matematyki na maturze:), mogłem bez problemu uzyskać dostęp do wszystkich id systemowych < od mojego... podobnie jak przypadek innej osoby tutaj komentujących skończyło się na 2 mailach i podziękowaniu. Osobiście nie zgłoszenie tego nie dałoby mi spać spokojnie - nie masz czasem takiego uczucia?

Anonymous: Zamykam jedno oko i...

nospam@example.com () — Wed, 28 Mar 2012 19:42:17 +0200

W zupełności racja. Istnieje bardzo cienka granica na styku osoby odpowiadające za aplikację a osoby, które zabrały się za testowanie. Bywają jednak pozytywne przypadki takiego "samowolnego" testowania.. (pewien bank, pewne zagrożenie, 3h, 2 maile i załatane - bez pretensji, skarg itp) pozdrawiam!

Paweł Goleń: Zamykam jedno oko i...

nospam@example.com (Paweł Goleń) — Wed, 28 Mar 2012 17:20:45 +0200

I to jest bardzo dobry przykład. Trzeba się zastanowić, co jest większą "stratą" - ujawnienie takich danych, czy może raczej ewentualne problemy z obsługą zdarzenia (pan uzyskał dostęp do danych naszych klientów, uzyskał dostęp do danych dla niego nieprzeznaczonych, ...). Szczerze mówiąc często ujawnienie danych skutkowałoby co najwyżej ujawnieniem rzeczy, które i tak są dostępne w innym miejscu. Oczywiście nie zawsze, a czasami informacja odnośnie tego, co ktoś zamawiał, też może być, nazwijmy to, newralgiczna :)

dariusz: Zamykam jedno oko i...

nospam@example.com (dariusz) — Wed, 28 Mar 2012 09:34:40 +0200

W zasadzie zgadzam się z takim podejściem, co jednak powiesz na taką sytuację (z życia wzięte): robię zakupy w sklepie internetowym (wszystko wygląda bardzo solidnie, ssl itd.). Pod koniec zostaję przekierowany na stronę podsumowującą, która zwiera szczegóły transakcji: imię, nazwisko, adres, tel itd... a w URL parametr orderId. Oczywiście nie mogę się powstrzymać, żeby nie sprawdzić co się stanie gdy wyślę orderId o 1 mniejsze, łatwo się domyślić jaki był efekt. Co zrobić w takiej sytuacji? Co jeśli następny klient zrobi podobny test? :)